RAT结构演变史

转载保留版权
[email protected]
http://www.famdiy.com/

想了解更深层的RAT架构的不妨进来看看.高手飘过...
稍微详细的讲述一下Bifrost,Flux,PoisonIvy的结构

只说RAT结构演变...其他技术不讨论...
自从Bo出世后.大量的RAT相继出现...
国内熟悉的,冰河,黑洞,PcShare,灰鸽子等...
国外熟悉的.Bifrost,Flux,Assasin,Beast,Bandook,Institution,PoisonIvy等...
相继有自己的特色...包括程序结构...出现了许多令人惊叹的东西...

[1]结构简介:

 

第一代:-EXE独立结构
相对应的...C/S架构...
EXE---->EXE
都是EXE的...比如说冰河,黑洞...几乎第一,二代RAT都是

第二代:DLL分体结构
这代的DLL纯粹是为了穿墙而设计...
利用Inject Code ---->LoadLibrarA
完成DLL载入.
或者注册表,消息钩子等等...

2.5:Plugin型架构
插件结构的RAT大部分功能...
说道插件型RAT.国内只有灰鸽子之流做出这样的东西.
而且纯粹是摆设...

当然还有FWB++
DLL映射注入...相信大家知道FilePacker,Alloy,MoleBox,PEBundle
将DLL映射到EXE空间里,然后修改导入表跳转地址...
这样做到了无需加载DLL(其实DLL是映射到EXE空间了)
FWB++就是这么玩～...乎乎～
Tequila Bandita就是采用DLL Stream Inject的～国内使用的比较少...

关于插件的RAT.做的最绝的要属Spirit系列
那几乎完美的体积,强悍的代码注入方式.包括代码优化整合,PE结构的使用
早就了Spirit4b1那 1.37k的体积...(API Hash搜索(写的太Cool了),LZO压缩引擎,RT32注入引擎.)
他主要是采用代码注入方式...然后再传输DLL 插件

 

第三代:代码注入类型...
这个技术类似病毒技术...将病毒体代码
写入host文件...
再进程注入方面.既然可以写LoadLibraryA函数
为什么就不能写入所有代码呢...

技术难点:代码,数据重定位问题...
还有数据的地址获取等等...一些这样那样的问题...
当然在乎编程者...其实这些都很容易解决...

3.5:
NT核心下可以让你使用ProcessHack技术了...
替换代码,傀儡进程等等都是类似技术

综上所述...现在的RAT无外乎这几种形态....
那我说了半天究竟要说什么??我说的是木马的框架结构...
下面小议一下木马存在形态...

//--------------------------------------------------
冰河:
单纯的EXE,WIn9x下将自己注册成系统服务隐藏进程...

黑洞,Nuclear Rat,灰鸽子,Spook,风雨江湖.小熊那东东...
都是采用第二代形式...
EXE+DLL...
这代体积都比较庞大...
不管是什么,消息钩子

下面主要说说,Bifrost,Flux,Poison Ivy吧...国内的没啥意思,请原谅我的无理...
本文说的是框架.聊的是～自己敢兴趣的东西...

相信也有的朋友对Bifrost,Flux,Poison Ivy能这么小的体积感兴趣.

Flux,Bifrost,Poison Ivy其实都是采用FWB+技术...
但是他们都有一个共通点...
这里算上,C-One V1.0(Caecigenus)
Caecigenus好牛的.别的不知道,至少他,法文,English,中文都会说...
x140d4n说他是中国人?还是华人???

C-One和Flux类似.但是编码技术不如Gargamel来的Cool...
Flux,Bifrost,Poison Ivy,C-One都是前EES.现在的ChaseNET的作品

[1]C-One比较简单.先说一下吧
1.安装自己
2.注入到默认浏览器
浏览器路径由HKEY_CLASSES_ROOT\HTTP\shell\open\command获取
由于他没有使用RT32或者EliRT组件库
所以这个RAT不支持Win9x
注入方式也很简单.
VirtualAllocEx
VirtualProtectEx
WriteProcessMemory
CreateRemoteThread
WaitForSingleObject
协议包也很简单(简单的令人发狂...速度慢得要死...还弄了一个既算加密又不算加密的加密算法)

[2]Flux,Bifrost
采用的是原始结构.佩服Gargamel,ksv的毅力
居然可以把这么多代码直接用VC写出来...完全代码注入...
和上面的C-One一样...注入方式不过二者都使用了EliRT 1.01

不过为了防止被跟踪他们都是先将代码注入
explorer.exe或者msgsrv32.exe
然后再次跳转...当然你熟练操作你的Debuger Tools的话很容易就可以注入你想注入的进程
然后去分析他的结构..OD足矣...

特殊的地方,发送指令,执行指令,都是采用同一个Socket,可以多线程操作...
相互之间不会冲突.你可以一边查看桌面,WebCam,还有传输文件..同时还可以干点别的
可见作者功力之高...国内没有任何一款RAT可以做到如此功能...
PcShare也是使用了HTTP隧道双工...一个功能一个线程～两个Socket
八大功能的意思就是说...有2*8=16个Socket连接隧道...(应该不会这么恐怖吧)

代码注入没啥好说的就是经验了...自己跟踪一下就明白了
Bifrost的功能比Flux多一点...他是如何做到的??
插件！Plugin!～～当然他使用的不是LoadLibraryA来载入DLL的不然你就可以发现了...
用Bo2k的Plugin引入代码...将DLL映射到EXE进程中然后再加载调用...
很有意思吧...(新版本的Poison Ivy据说也采用这个功能...)
Flux的Socket生存能力比Bifrost强一点,体积小一点,但是估计上线的数量不是很多
居然一个I/O输入输出模型都没有使用...汗!

[3]Poison Ivy...恐怖的家伙
以前就对Poison Ivy的结构感觉很神奇...体积这么小巧.
功能还可以这么完善.有点违反"能量守恒定律"难道shapeless技术高到如此境界?
IDA+OD拆了他...
由于几乎所有的API都是自己内存搜索的--不是使用GetProcAddress函数...
自己写的一个Hash函数..Crc32b Hash算法...
OD简单的跟踪了一下.发现Poison Ivy代码有些地方写的并不高明
代码优化做的完全没有Spirit那么精致.(太精致了~)
代码一点都不优美.但是很容易OD跟踪分析...没有使用代码的编码优化技巧

为什么说他恐怖...一开始认为和Bifrost一样...
传输Plugin插件过去然后再控制...
经过OD三级跳分析后(先注入Explorer.exe...小心使用OD跟踪下～程序很容易死循环
主要原因在于.获取Explorer.exe进程始终返回0!...但是他会一直再那里等...直到有
Explorer.exe的存在.你可以自己手工跳转+填写Explorer.exe进程PID---设置为自己的
记事本或者计算器..这样容易跟踪一些..)
抓包分析...+冰刃观察...发现Poison Ivy
居然不是传输...Plugin做到的...自己观察下发现...
他第一次是直接传输～功能代码过去.
(数据包是压缩的.没有加密..NTDLL.RtlGetCompressionWorkSpaceSize,
RtlCompressBuffer,RtlDecompressBuffer)压缩数据了...你可以自己Dump出数据包.然后自己解压缩.然后试试看是不是
都是明文了..效果不错.学习数据包结构了...呼呼～我喜欢他们的风格

由于直接传输功能代码(第二次就不传输了...)
实在是太恐怖了...由于可记录.而且第二次就不需要再传输..所有功能都是本地实现
...想想会如何??哈哈～是不是感觉很有意思...
和小弟以前做的一个主动功能型RAT一样(反向连接.加文件管理,进程管理功能后只有945字节,nasm写的)

主动功能型?再TT里面第一次看到drocon弄出来的...感觉这小胖子(x140d4n那里的来的消息他胖!)
很厉害呀～drocon现在主要做一些asm代码优化的工作.很不错的一些工作..比较喜欢他的编码风格
特别是代码优化方面做的真的很不错...PS:x140d4n啥时带我去见他呀...

接着说:Poison Ivy和Flux,Bifrost有一些不同
支持文件多线程多文件同时传输,为了保证Socket的稳定性,他在文件传输时使用了多个Socket
进行传输...其他的还是保留独立Socket

同样采用多线程操作...但是似乎主控段的上线率不是很高.而且没有使用Thread Pool
所以线程切换浪费了太多的时间...你可以观察一下..
用冰刃打开注入进程,你每次刷新一下目录或者操作一次,是不是程序就多出一个.线程???
哈哈～而且Poison Ivy还有许多地方不太完善,但是现在变成VIP版本了...没有多少机会分析了
唉～谁让人家老外福利好呢.在家没事写东西卖钱.谁给我钱我也天天在家写...乎乎~~

综上的结构看来...是不是感觉Poison Ivy代码是如何实现的还是一头雾水?
1.被控端连接主控段

2.主控段发送主动功能代码给被控端...

3.被控端新建一块内存保存主动功能代码(这里有个BUG.当主控段重复发送功能代码的时候.
他会不去释放直接申请内存保留主动功能代码...)居然都不释放...呼呼～

4.然后当主控段再次发送控制指令的时候...被控端.开始调用一开始接受的主动功能性代码...
(新建线程执行的.所以造成了大量的空余线程...似乎都没有使用CloseHandle关闭???)

5.还有什么好说的?自己Dump~然后看数据包吧...